14 novembre 2016

Gli specialisti Doctor Web hanno registrato una serie di attacchi DDoS ai siti delle banche russe Rosbank e Roseximbank. Per questo scopo gli hacker utilizzano il trojan BackDoor.IRC.Medusa.1.

BackDoor.IRC.Medusa.1 — un programma malevolo che appartiene alla categoria di bot IRC. Così vengono chiamati i trojan che sono in grado di unirsi in botnet ed ottenere comandi attraverso il protocollo di scambio di messaggi testuali IRC (Internet Relay Chat). Connettendosi a un determinato canale di chat, i bot IRC attendono specifiche direttive dai malintenzionati. BackDoor.IRC.Medusa.1 ha l'obiettivo principale di attuare gli attacchi di negazione di servizio (attacchi DDoS). Gli analisti dei virus Doctor Web ipotizzano che proprio questo programma malevolo sia stato utilizzato nei massicci attacchi contro Sberbank (la Cassa di risparmio della Russia), di cui i mass media riferivano di recente.

BackDoor.IRC.Medusa.1 può attuare più tipi di attacchi DDoS e inoltre su comando dei malintenzionati può scaricare e lanciare file eseguibili sulla macchina infetta. Nella figura sotto è presentato un manuale pubblicato dagli hacker per l'amministrazione di una botnet creata in base al trojan BackDoor.IRC.Medusa.1, in cui vediamo una lista dei comandi supportati dal programma malevolo:

Al momento i criminali informatici promuovono attivamente BackDoor.IRC.Medusa.1 sui forum degli hacker. I creatori del trojan affermano che una botnet di 100 computer infetti può generare fino a 20.000-25.000 richieste in un secondo con il valore di picco di 30.000. Come una prova riportano un grafico di un attacco di test a un server http NGNIX:

Al momento su uno dei canali IRC che controllano la botnet di BackDoor.IRC.Medusa.1 sono registrate 314 connessioni attive. Un'analisi del log dei comandi impartiti alla botnet mostra che dal 11 al 14 novembre 2016 i malfattori hanno attaccato diverse volte i siti web rosbank.ru (Rosbank), eximbank.ru (Roseximbank) e inoltre fr.livraison.lu e en.livraison.lu (rete di ristoranti Livraison) e korytov-photographer.ru (un sito web privato).

La firma antivirale di BackDoor.IRC.Medusa.1 è stata aggiunta ai database Dr.Web. Gli specialisti Doctor Web seguono attentamente gli sviluppi della situazione.

Informazioni sul trojan